Son dönemde siber güvenlik uzmanları, açık ağ (TON) teknolojisini kullanan yeni bir TrickMo Android bankacılık Trojan’ını tespit etti. Bu durum, kullanıcıların finansal bilgilerinin ve dijital varlıklarının hedef alındığı yeni bir tehdit dalgasını ortaya koymaktadır.

Saldırı Nasıl Çalışıyor?

Yeni versiyon, ThreatFabric tarafından Ocak ve Şubat 2026 arasında gözlemlendi ve Fransa, İtalya ve Avusturya’daki bankacılık ve kripto cüzdan kullanıcılarını aktif bir şekilde hedef almaktadır. TrickMo, düzenli olarak yüklenen APK (dex.module) kullanarak, siber suçluların cihazları ele geçirmesine olanak tanır. Ayrıca, yeni ağ yetenekleri eklenmiş olup, uzaktan kontrol, SSH tünelleme ve SOCKS5 proxy işlemleri gerçekleştirir.

• Hedeflenen kullanıcılar için tehlikeler şunlardır:
  • Kredikartı bilgileri ve bankacılık kimlik bilgileri çalınabilir.
  • SMS mesajları ve tek kullanımlık şifreler ele geçirilebilir.
  • Uzaktan cihaz kontrolü sağlanabilir.

Etkilenen Sistemler

TrickMo, 2019 sonlarından beri aktif olan bir cihaz ele geçirme (DTO) zararlısıdır. Özellikle, aşağıdaki CVE kodları altında bilinen güvenlik açıklarını kullanarak yayılmaktadır:

• CVE-2023-XXXX (Android erişilebilirlik hizmetleri kötüye kullanımı)
• CVE-2023-YYYY (APK’lar üzerinden dinamik yükleme)

Etkilenen uygulamalar genellikle, TikTok gibi popüler platformların “erişilebilir” sürümleri şeklinde görünmekte ve kullanıcıları kandırmaktadır.

Çözüm ve Korunma

Kullanıcıların bu tür zararlılara karşı alabilecekleri önlemler şunlardır:

• Aygıtlarınızı ve uygulamalarınızı düzenli olarak güncelleyin.
• Tanımadığınız kaynaklardan uygulama indirmemeye özen gösterin.
• Gerçek zamanlı koruma sunan bir siber güvenlik yazılımı kullanın.
• Kurumsal ağlarda ek koruma katmanları oluşturun.
• Portlarını kapalı tutun ve gereksiz erişim izinlerini kaldırın.

Ayrıca, elinizde mevcut olan ağ trafiğini izleyerek anormal hareketlilikleri tespit etmeye yönelik önlemler alınmalıdır.

Sonuç olarak, TrickMo’nun yeni versiyonu, bankacılık ve kripto para kullanıcıları için ciddi riskler taşımaktadır. Kullanıcıların, güncellemeleri yapması, güvenli ağ alışkanlıkları edinmesi ve cihazlarını proaktif olarak koruması önemlidir.

Kaspersky siber güvenlik araştırmacıları, Apple App Store ve Google Play Store’da, mobil işletim sistemlerini hedef alan SparkCat kötü amaçlı yazılımının yeni bir versiyonunu keşfetti. Bu gelişme, hem mobil kullanıcılar hem de kripto para yatırımcıları için büyük bir tehdit oluşturmaktadır.

Saldırı Nasıl Çalışıyor?

SparkCat, masum görünen uygulamalar arasında gizlenerek çalışmaktadır. Özellikle kurumsal mesajlaşma ve yemek teslimat hizmetleri gibi uygulamalar içerisinde kendini saklar. Kullanıcıların fotoğraf galerilerinde kripto para cüzdanı kurtarma ifadelerini sessizce tarayarak bilgi toplar.

Kaspersky, özellikle Asya’daki kripto para kullanıcılarını hedef alan şu uygulamaları tespit etmiştir:

• Apple App Store’da iki enfekte uygulama
• Google Play Store’da bir enfekte uygulama

İOS versiyonu, kripto para cüzdanı için mnemonic ifadeler arar ve bu ifadelerin İngilizce olması, global etkisini artırır. Android versiyonu ise Japonca, Korece ve Çince anahtar kelimeleri tarar, bu da odaklanmanın Asya’da olduğunu gösterir.

Etkilenen Sistemler

SparkCat, yaygın kullanımda olan ve özellikle kripto para yatırımcıları arasında tercih edilen uygulamalara yerleşmiştir. Kaspersky’nin keşfine göre, bu kötü amaçlı yazılım;

• Özellikle *Android* ve *iOS* mobil platformlarda faaliyet göstermektedir.
• Optik karakter tanıma (OCR) modelini kullanarak fotoğraf kütüphanelerinden cüzdan kurtarma ifadelerini alma yeteneğine sahiptir.

Bu gelişmeler, kötü amaçlı yazılımın sürekli evrilen bir tehdit olduğunu ve arkasındaki teknik becerilerin yüksek olduğunu göstermektedir.

Çözüm ve Korunma

Kaspersky, SparkCat’ın kullanıcıların fotoğraflarını görmek için erişim talep ettiğini ve bu resmi analiz etmek için bir optik karakter tanıma modülü kullandığını belirtmiştir. Eğer kullanılan görsellerde ilgili anahtar kelimeler bulunursa, bu görüntüler saldırganlara iletilmektedir.

Önemli Uyarı: Kötü amaçlı yazılımın daha önceki versiyonları ile benzerlik gösterdiği göz önüne alındığında, gelişmiş güvenlik çözümlerine sahip olmak kritik önem taşımaktadır.

Sonuç

Bu tip tehditlere karşı korunmak için kullanıcıların şu önlemleri almaları gerekmektedir:

• Mobil uygulamalarınızı güncelleyin.
• Güvenlik çözümleri kullanarak cihazınızı koruyun.
• Şüpheli uygulamalardan uzak durun ve sadece resmi kaynaklardan indirme yapın.

Kripto para cüzdanlarınızı koruma altına almak ve olası saldırılara karşı güvenliğinizi artırmak için bu önerilere dikkat ediniz.

Son dönemlerde siber güvenlik alanında dikkat çeken konulardan biri, XCSSET isimli bir malware’dir. Apple macOS işletim sistemi kullanıcılarının hedef alındığı bu malware, yazılım geliştiricilerinin kullandığı Xcode projelerini enfekte etmek için tasarlanmıştır. Microsoft’un tehdit istihbarat ekibi tarafından yayımlanan bir rapora göre, malwarenin yeni versiyonu bazı önemli değişiklikler içermektedir.

Gelişmiş Hedefleme Yöntemleri

XCSSET’in yeni sürümü, tarayıcıları hedef alma ile ilgili önemli değişiklikler yapmıştır. Bu sürüm, Firefox tarayıcısındaki veri hırsızlığını artıran yeni modüller içermektedir. Ayrıca, bu malware’in yeni versiyonu, panoya erişim sağlayarak kullanıcıların kopyaladığı verileri değiştirip kötü niyetli bir adrese yönlendirebilmektedir. Özellikle, kripto para cüzdan adreslerine odaklanan bir alt modül, panoda belirli desenleri kontrol ederek, uygun bir eşleşme olduğunda cüzdan adresini değiştirir.

Yeni Modüller ve Fonksiyonlar

XCSSET’in tüm özelliklerinin yanında, yeni sürümleri, geliştirilmiş hata yönetimi ve çeşitli gizlilik tekniklerini içermektedir. Yeni modüller arasında, daha önce mevcut olmayan yeni işlevler ve güncellemeler bulunmaktadır. Özellikle aşağıdaki modüller öne çıkmaktadır:

• vexyeqj: Daha önceki versiyonlarda “seizecj” olarak bilinen bilgi modülü, yeni bir yükleme modülü olan bnk‘yı indirip çalıştırmakta ve verilerin doğrulanması gibi çeşitli görevleri yerine getirmektedir.

• neq_cdyd_ilvcmwx: Dosyaları komuta kontrol sunucusuna (C2) sızdıran bir modüldür.

• xmyyeqjx: LaunchDaemon tabanlı kalıcılık sağlamak için kullanılan bir modül.

• jey: Git tabanlı kalıcılık sağlayan bir başka modül.

• iewmilh_cdyd: Firefox’tan veri çalmak için halka açık bir araç olan HackBrowserData‘ya dayanan bir modüldür.

Tarayıcı Güvenliği Riskleri

Özellikle kullanıcıların en çok tercih ettikleri tarayıcılardan biri olan Firefox, XCSSET’in hedefleri arasındadır. Malware, tarayıcı açıklarını kullanarak kurbanların verilerini toplamakta ve bu verileri kontrol sunucusuna iletmektedir. Tarayıcı güvenliği, bu tür saldırılara karşı kritik bir öneme sahiptir. Kullanıcıların, güvenlik yazılımlarını güncel tutmaları ve tanımadıkları kaynaklardan gelen Xcode projelerini dikkatle incelemeleri gerekmektedir.

Veri Sızıntıları ve Korunma Önlemleri

XCSSET’in saldırıları, kullanıcıların hassas bilgilerini sızdırma yönünde ciddi tehditler oluşturmaktadır. Bu tür malware’lerden korunmak için kullanıcılara bazı önerilerde bulunulmaktadır:

1. Sistem Güncellemeleri: Kullanıcıların işletim sistemlerini ve uygulamalarını her zaman güncel tutmaları gerekmektedir. Yeni güncellemeler, potansiyel güvenlik açıklarını kapatabilir.

2. Güvenilir Kaynaklar: Xcode projeleri gibi yazılımların, sadece güvenilir kaynaklardan indirilmesi zorunludur. Tanımadığınız yerlerden gelen içeriklere karşı dikkatli olunması önemlidir.

3. Panoya Dikkat: Özellikle kripto para işlemleri sırasında panoya kopyalanan verilerin dikkatli bir şekilde kontrol edilmesi önerilmektedir.

4. Antivirüs Kullanımı: Antivirüs ve güvenlik yazılımlarının kullanımı, malware ve diğer tehditlere karşı koruma sağlayabilir.

XCSSET’in Gelecekteki Tehditleri

XCSSET ve benzeri malware’lerin gelişimi, siber güvenlik alanında yeni tehditleri beraberinde getirebilir. Yazılım geliştiricileri ve kullanıcılar, bu tür tehditlere karşı sürekli olarak tetikte olmalı ve güvenlik önlemlerini artırmalıdır. Kalıcılık sağlama teknikleri ve yeni modüllerin eklenmesi, XCSSET’in kötü niyetli faaliyetlerini daha da tehlikeli hale getirmektedir.

Özetle, XCSSET’in yeni sürümü, hem tarayıcı güvenliğini tehdit etmekte hem de kullanıcıların verilerini sızdırma konusunda çeşitli altyapılar geliştirmektedir. Siber güvenlik alanında uzmanların bu tehditlere karşı sürekli olarak yeni stratejiler geliştirmesi ve kullanıcıların bilinçlendirilmesi gerekmektedir.

Güncel Siber Güvenlik Haberleri – 1

Giriş

29 Ağustos 2025’te Huntress analistleri, daha önce görülmemiş “Obscura” adlı bir ransomware varyantı ile karşılaştı. İlk olarak bir kurban organizasyonun çok sayıda bilgisayarında çalıştırılan bu yazılım, şifreleme işlemlerini gerçekleştirdi ve ağdaki etkilenen makinelerde geniş çapta yayıldı.

Ransomware’ın İlk İzlenimleri

Obscura, tanıtım notu olan README_Obscura.txt dosyasıyla adını duyurdu. Analistler, bu ransomware varyantı hakkında herhangi bir halka açık kaynak bulamadılar ve bu, saldırının ne kadar iyi bir şekilde gizlendiğini gösteriyor.

Ransomware Yürütülmesi

Ransomware, kurbanın ağında birkaç makineyi etkileyerek çalıştırıldı. Ancak, Huntress ajanının sınırlı dağıtımı, açığa çıkartma ve yanıt verme kabiliyetlerini zayıflattı. İlk erişim vektörünü incelemek zorlaştı.

Ancak görülenler arasında, ransomware yürütülebilir dosyasının C:WINDOWSsysvolsysvol[domain].localscripts yolunda yer aldığı belirtildi. Bu konumdaki dosya, bulunduğu alanın adını alarak, sanki burada yer alıyormuş gibi görünüyor.

Ransom Note

Ransomware’ın içeriklerinin başlangıcı, kullanıcıları korkutmanın yanı sıra dikkat çekmek amacını taşımaktadır. Ransom notunun bazı bölümleri şu şekildedir:

“İyi günler! Şirketiniz basit bir penetrasyon testini geçemedi.”

Ransom notunda, ağın tamamen şifrelenmiş olduğu belirtilmiş ve hackerlar, elde edilen verilerin geri alınmasının zor olduğunu vurgulamıştır. Verilerin çalındığı, öncelikle çalışan bilgilerinin ve finansal belgelerin de dahil olduğu ifade edilmektedir. Kullanıcılara 240 saat içinde yanıt verme süresi verilmiştir.

Ransom İstekleri

Ödenmesi gereken fidye, elde edilen bilgilerin korunması ve yeniden yapılandırılması için talep edilmektedir. Ransom notundaki öneriler, istemcileri korkutmak ve onları pazarlık yapmaya zorlamak amacı taşımaktadır.

Teknik Analiz

Ransomware’ın Çalışma Mekanizması

Ransomware çalıştırıldığında, bir ortam değişkeninin (DAEMON) değerini kontrol eder. Eğer değer 1 ise, fidye notu bırakılır ve şifreleme işlemi gerçekleştirilir. Aksi takdirde, şifreleme için hazırlık işlemleri başlatılır.

Ana işlevlerden biri olan main_run(), bu işlemlerin yönetimini sağlar. Bu fonksiyon, bir 32 baytlık açık anahtar elde eder ve sistemdeki depolama aygıtlarını tarar.

Güvenlik Önlemleri ve Yönetim Hakları

Ransomware, kullanıcıların yönetici haklarına sahip olup olmadığını kontrol eder. Yönetici hakları yoksa, uygulama çalışmayı durdurur ve dikkat çekici bir bilgi mesajı verir.

Bu süreçler, ransomware’ın etkili bir şekilde şifrelemesi ve sistem üzerinde kontrol sağlaması için kritik öneme sahiptir.

Şifreleme Stratejileri

Ransomware’da, dosyaların boyutuna bağlı olarak şifreleme stratejileri belirlenir. 1 GB’dan küçük dosyalar tam olarak şifrelenirken, daha büyük dosyalar yalnızca ilk 25%’i şifrelenir. Bu dikkatle tasarlanmış sistem, kullanıcı verilerine maksimum zarar vermeyi amaçlamaktadır.

Obscura ve Diğer Ransomware Varyantları

Huntress, son zamanlarda Crux ve Cephalus gibi yeni ransomware varyantları da gözlemlendi. Ransomware ekosistemindeki değişiklikler, saldırganların yeni taktikler geliştirmesi, yeniden markalamı ve yeni varyantları piyasaya sürmelerini sağlıyor.

Kuruluşlar, alan denetleyicilerini dikkatlice izlemeli ve yeni dosya eklemesi ya da mevcut dosyaların değiştirilmesi durumlarda tetikte olmalıdır. Ayrıca, sistemdeki anormal erişim girişimleri de izlenmelidir.

Sonuç

Obscura ransomware, günümüzdeki siber tehdit ortamının ne kadar dinamik olduğunu gözler önüne seriyor. Kuruluşların bu tür tehditlere karşı hazırlıklı olmaları, sürekli eğitim ve durum farkındalığı ile sağlanabilir. Ransomware’ların sürekli evrimi, siber güvenlik uzmanları için daima güncel bilgi ve stratejiler gerektirmektedir.

Kayıt Olun

Tradecraft Tuesday, entelektüel analizlerin yanı sıra güvenlik uzmanları için trendler ve tehditlerle ilgili taktiklerin sunulduğu bir platformdur. Bu tür eğitimler, kurumların savunma mekanizmalarını güçlendirecek ve siber saldırılara karşı daha dirençli olmalarını sağlayacaktır.

Güncel Siber Güvenlik Haberleri – 2